1.1 AJEK, société par actions simplifiée unipersonnelle, titulaire de la marque PayEnCash, dont le siège et l'immatriculation figurent aux mentions légales du site, est responsable des traitements décrits ici. Contact pour toute question relative aux données : [email protected].
1.2 AJEK agit en grossiste : elle achète les titres de paiement des marchands à mesure qu'un commerce ou un distributeur nomade de son réseau les vend, ou qu'elle les vend elle-même en ligne dans l'application E-Carte, et les vend à travers ce réseau ou en ligne. Elle ne fournit aucun service de paiement et ne détient aucun fonds pour le compte d'autrui.
| Données | Pourquoi | Base légale |
|---|---|---|
| Pour un compte ouvert avec un compte Google ou Apple avant le 6 novembre 2026 : l'adresse e-mail vérifiée alors transmise, le nom de ce service et la date du lien | Garder l'adresse du compte — voir l'article 2.3 | Exécution du contrat (art. 6.1.b) |
| Adresse e-mail et numéro de mobile du compte du marchand — le mobile déclaré à l'inscription ou plus tard dans « Mon accès » (« Mon mobile »), facultatif sauf si le marchand choisit d'être vérifié par SMS ; le code qui vérifie le compte, une seule fois, à sa création — au choix, envoyé par e-mail ou par SMS à ce mobile (qu'il confirme alors) — et le code de « Mot de passe oublié ? » : leur date d'envoi, le nombre d'essais faux et de renvois, l'empreinte du code envoyé par SMS jusqu'à ce qu'il serve (le code lui-même n'est pas gardé) ; le journal de l'envoi (l'adresse ou le numéro, la date, l'issue) | Vérifier le compte, une seule fois : ensuite, l'identifiant et le mot de passe suffisent, aucun code n'est demandé à la connexion ; retrouver un mot de passe oublié par un code qui ouvre le compte sur « Modifier mon mot de passe » — par SMS au mobile vérifié quand le compte a été vérifié par SMS, au choix par e-mail ou par SMS quand l'adresse est confirmée (par SMS seulement si un mobile est enregistré) ; borner les envois (par numéro, par connexion et pour tout le service) pour prévenir les abus | Exécution du contrat (6.1.b) ; intérêt légitime — prévention de la fraude et des abus (6.1.f) |
| Identité de la société (dénomination, SIRET, siège, forme, site — la fiche relue au registre des entreprises sur son SIREN), coordonnées de contact | Ouvrir et tenir le compte, établir le contrat-cadre et les factures ; préremplir l'inscription du marchand chez Stripe (article 2.2) | Exécution du contrat (art. 6.1.b) |
| Les moyens de contact que le marchand déclare pour ses clients (téléphone, réseaux : WhatsApp, Snapchat, TikTok, Instagram) et ceux qu'il préfère | Les montrer seulement à un client qui lui commande un article, dans la conversation de sa commande, par son geste ou à chaque commande s'il le choisit — ils ne sont jamais publiés | Exécution du contrat (art. 6.1.b) |
| Dirigeant déclaré (civilité, prénom, nom, qualité) | Nommer le signataire du contrat-cadre ; préremplir le représentant du marchand dans son inscription chez Stripe, qui vérifie son identité (article 2.2). AJEK n'est pas assujettie à la lutte contre le blanchiment (art. L561-2 du code monétaire et financier) : ses propres vérifications relèvent de sa politique de prévention de la fraude | Exécution du contrat (6.1.b) ; intérêt légitime — prévention de la fraude et sécurité de la relation (6.1.f) |
| Compte Stripe du marchand : son identifiant, son état (ouvert, restreint, en vérification), ce que Stripe demande encore et la date limite, le motif d'une restriction, sa date d'ouverture, le nom du représentant prérempli, la possibilité d'un virement instantané | Savoir si le marchand peut être payé et si ses titres peuvent se vendre ; le lui dire, avec ce que Stripe lui demande (article 2.2) | Exécution du contrat (6.1.b) |
| Transferts sur le compte Stripe du marchand et versements vers son compte bancaire (montant, date, identifiants chez Stripe, état ; pour un virement instantané, ses frais) | Payer le marchand à chaque vente, dès qu’elle ne s’annule plus, puis faire verser ces sommes sur son compte bancaire | Exécution du contrat (6.1.b) ; obligation légale comptable et fiscale (6.1.c) |
| Carte bancaire de l'abonnement au logiciel, et l'autorisation de débit donnée en l'enregistrant (son texte, sa version, sa date, la personne qui l'a donnée) | Payer l'abonnement mensuel au logiciel — son palier suit les titres vendus dans le mois, et la facture du mois clos part le 1er du mois suivant, débitée sur cette carte (conditions du logiciel, articles 2 et 5) ; la carte est enregistrée auprès de Stripe, notre prestataire de paiement ; AJEK ne conserve pas son numéro | Exécution du contrat (6.1.b) |
| Documents acceptés, et mise à disposition de cette politique, qui ne s'accepte pas (titre, version, date, identifiant de la personne), signature du contrat-cadre (nom du signataire, date, empreinte) | Prouver l'accord donné, dans sa version | Exécution du contrat ; intérêt légitime à conserver la preuve |
| Titres proposés, émis, vendus et utilisés (montant, référence du marchand, dates, état) | Acheter, vendre et payer les titres ; tenir l'état des ventes ; compter, pour le compte du marchand, la valeur des douze derniers mois au regard du seuil de déclaration à l'ACPR — une déclaration qui incombe au marchand, émetteur (art. L521-3 II du code monétaire et financier) | Exécution du contrat (6.1.b) |
| Clés d'API (publique en clair, secrète sous forme d'empreinte), réglages du site web du marchand | Brancher le site du marchand, publier son site | Exécution du contrat (6.1.b) |
| Comptes de réseaux sociaux reliés par le marchand (ceux qu’il choisit de relier, et son site web) et son numéro WhatsApp, avec la date de chaque enregistrement | Les montrer publiquement — sur payencash.com (Univers & marchands), sur la Boutique du marchand et dans l'application E-Carte (sa fiche) — et signer ses visuels ; le numéro WhatsApp se retrouve aussi par la recherche de l'application. Un numéro WhatsApp relié avant le 8 octobre 2026 (la version de cette politique qui l'annonce) n'est montré ni cherchable tant que le marchand ne l'a pas enregistré de nouveau dans son espace. Le numéro n'est écrit dans aucun journal | Exécution du contrat (6.1.b) — le marchand relie chaque compte par son geste, informée de sa publication |
| Code d'appel : six chiffres affichés sur la page Hotline de l'espace quand le compte du marchand (ou d'un de ses collaborateurs) est connecté, qui changent seuls à intervalle court ; sa vérification par le conseiller (conseiller, date et heure, résultat, compte retrouvé) | S'assurer, au téléphone, que la personne parle depuis le compte du marchand : le conseiller vérifie le code que cette personne lui dicte. Le code lui-même n'est conservé nulle part — il se recalcule ; les essais faux se comptent, pour arrêter les essais au hasard (article 5.7) | Intérêt légitime — sécurité du compte et prévention de la fraude (6.1.f) |
| Numéro précisé pour un rappel de la hotline (un autre numéro que celui du marchand ou du compte) et sujet choisi | Rappeler la personne à ce numéro, pour cette seule demande | Exécution de la demande (6.1.b) |
| Conditions du marchand pour ses clients (conditions d'utilisation de la E-Carte, politique de remboursement : ses réponses au modèle, chaque version publiée, sa date, qui l'a publiée) | Les montrer à ses clients sur sa fiche, dans l'application E-Carte ; garder la version en vigueur à la date de chaque achat | Exécution du contrat (6.1.b) |
| Passages en caisse d’une E-Carte, par le Scanner (montant, date, référence, titres pris, compte du marchand ou du collaborateur qui a fait le passage) | Utiliser la E-Carte d'un client en magasin, une fois ; retracer chaque passage en caisse | Exécution du contrat (6.1.b) ; intérêt légitime — prévention de la fraude (6.1.f) |
| Déductions par référence sur sa page de commande : la commande et son montant, l'état de chaque demande, ses dates, ce qui a été déduit, le rendu ou la conclusion — jamais le nom du client | Utiliser les titres d'un client sur la commande de son site, avec son accord ; rendre une déduction quand la commande n'aboutit pas ; freiner les demandes anormales | Exécution du contrat (6.1.b) ; intérêt légitime — prévention de la fraude (6.1.f) |
| Transmissions à distance reçues d'une E-Carte (le prénom et l'initiale du client, le montant, la date, la référence, les titres pris, le message facultatif du client ; le cas échéant, le rendu : sa date, son motif, le compte principal qui l'a rendue) | Recevoir la E-Carte d'un client sans rien scanner, une fois, et l'en prévenir ; la rendre quand le marchand ne peut pas l'honorer ; retracer chaque transmission | Exécution du contrat (6.1.b) ; intérêt légitime — prévention de la fraude (6.1.f) |
| Prix sur devis de l'abonnement : le prix proposé, qui l'a proposé et quand ; l'accord du marchand — sa date et la personne qui l'a donné | Facturer le mois au prix accepté, et prouver l'accord (conditions du logiciel, article 2.3) | Exécution du contrat (6.1.b) ; intérêt légitime à conserver la preuve |
| Débit refusé d'une facture et ses nouvelles tentatives (dates, résultat, motif rendu par le prestataire de paiement) | Débiter de nouveau la carte aux dates annoncées, prévenir le marchand, suspendre puis rouvrir la vente de ses titres (conditions du logiciel, article 5) | Exécution du contrat (6.1.b) |
| Magasins du marchand (nom, adresse, horaires, date, personne qui les a enregistrés) | Les montrer à ses clients dans l'application E-Carte ; les citer dans sa déclaration « réseau limité » — l'adresse d'un magasin est publique, la personne qui l'a saisie ne l'est pas | Exécution du contrat (6.1.b) |
| Gestes faits sous l'accès limité d'un marchand suspendu (le geste, ce sur quoi il porte, la date, la personne connectée) | Honorer les titres déjà vendus pendant la suspension, et retracer chacun de ces gestes (CGU de l'espace marchand, article 12) | Exécution du contrat (6.1.b) ; intérêt légitime — prévention de la fraude (6.1.f) |
| Signalement d'un avis (le motif, qui l'a fait, la décision d'AJEK) | Relire l'avis signalé, puis le maintenir ou le retirer (code de la consommation, art. L111-7-2) | Exécution du contrat (6.1.b) |
| Demandes faites par le marchand depuis son espace — la clôture de son compte, ou l'exercice d'un droit sur ses données (copie, rectification, effacement, limitation) : le type, le motif ou les précisions qu'il donne, la date, la personne qui l'a faite, l'échéance de la réponse, son annulation, et ce qu'AJEK a fait (la date, la personne de l'équipe, l'issue) | Instruire la demande et y répondre dans le délai, en garder la preuve ; seul le compte principal du marchand la fait et la lit, jamais un collaborateur | Obligation légale (6.1.c ; RGPD, art. 12 et 15 à 21), pour un droit sur ses données ; exécution du contrat (6.1.b), pour la clôture |
| Signalement d'un message d'un client, depuis la conversation d'une commande : le message cité (son texte, ou la mention d'une photo), le nom du client, sa date et la commande, la raison que le marchand donne s'il en donne une, la date et la personne qui a signalé | Le faire relire par l'assistance de PayEnCash (4.9) ; le client n'en reçoit pas copie | Intérêt légitime — la sécurité du service et la protection de ses utilisateurs (6.1.f) |
| Blocage d'un client dans la conversation d'une commande : le client bloqué, la commande, la raison que le marchand donne s'il en donne une, la date et la personne qui a bloqué, puis la date du déblocage | Ne plus recevoir ni afficher les messages de ce client, la commande suivant son cours ; prévenir l'assistance de PayEnCash (4.9) | Intérêt légitime — la sécurité du service et la protection de ses utilisateurs (6.1.f) |
| Notifications du téléphone, si le marchand ou l'un de ses collaborateurs les accepte sur son téléphone dans l'application de l'espace marchand (iPhone ou Android) — le jeton d'acheminement que le système du téléphone donne à l'application, la plateforme, l'application, les dates d'enregistrement et de son dernier renouvellement par l'application, la session qui l'a posé, le dernier refus d'Apple ou de Google ; de chaque notification, sa clé (ce qu'elle annonce : une transmission, une demande, une commande…) et sa date d'envoi — jamais le nom ni le modèle du téléphone | Prévenir le marchand, sur ce téléphone, de ce qui l'attend : une transmission à distance d'un client à valider, la réponse d'un client à sa demande à distance, une nouvelle commande ou un message d'un client, une commande signalée non reçue ou annulée par son client, une déduction confirmée sur son site, une prolongation demandée, un document à accepter, un avenant à signer, ses versements à activer, son compte marchand validé ou suspendu, une réponse de la hotline — jamais une facture ni un paiement ; un collaborateur, seulement ce qu'il traite (les transmissions à valider, les réponses à ses propres demandes) ; chaque notification ne part qu'une fois, et ne dit jamais un montant ni le nom d'une personne | Exécution du contrat (art. 6.1.b) : un service que la personne demande sur son téléphone, qu'elle coupe quand elle veut (6.1) |
| Liaison de sa boutique Shopify, s'il installe l'app de PayEnCash depuis Shopify : l'adresse de la boutique, les jetons d'accès que Shopify délivre (chiffrés, avec leurs échéances), la date de la liaison et le compte principal dont le code de liaison l'a faite ; les codes créés sur sa boutique pour ses clients — l'identifiant de chaque carte chez Shopify, son montant, son échéance, les mouvements relus, le code lui-même chiffré | Relier la boutique, créer et relire les codes que ses clients réservent, rendre leur montant restant aux titres (CGU de l'espace marchand, article 6.11) | Exécution du contrat (6.1.b) |
| Demandes de confidentialité que Shopify transmet pour la boutique du marchand (accès aux données d'un client de la boutique, effacement de ses données, effacement des données de la boutique) : l'identifiant de la boutique, l'identifiant et l'adresse e-mail du client de la boutique, les commandes citées — chiffrés ; le téléphone reçu est écarté | Y répondre dans le délai que Shopify fixe, et garder la trace de la réponse | Respect des obligations du RGPD et des conditions de Shopify (6.1.c, 6.1.f) |
2.1 La fiche de la société au registre des entreprises (INSEE, RNE) est relue à l'inscription, sur son SIREN : elle pré-remplit l'inscription et aide le contrôle d'AJEK ; elle n'est jamais substituée à la déclaration du marchand. Ces données, non collectées auprès de vous, proviennent de ces registres publics ; le marchand et son dirigeant en sont informés au plus tard dans le mois qui suit (art. 14 du RGPD).
2.2 La vérification du marchand par Stripe. Le compte du marchand auprès du prestataire de paiement d'AJEK, Stripe (compte « Stripe Connect »), s'ouvre dans l'espace marchand, par le formulaire d'inscription intégré de Stripe — ses cadres sont servis par Stripe (connect-js.stripe.com et js.stripe.com) : ce que le marchand y saisit va directement à Stripe — ou, à défaut, par la page d'inscription de Stripe, selon les conditions de Stripe que le marchand accepte lors de cette inscription. Les informations que Stripe y demande — l'identité du représentant du marchand, ses bénéficiaires effectifs, son compte bancaire, sa société — sont collectées par Stripe, qui les traite selon sa propre politique de confidentialité (stripe.com/privacy) : AJEK ne les reçoit pas, et ne demande plus à un marchand ni pièce d'identité, ni vidéo, ni date ni lieu de naissance de son dirigeant, ni extrait Kbis, ni relevé d'identité bancaire, ni bénéficiaires effectifs. Pour préremplir cette inscription, AJEK transmet à Stripe la forme de la société, sa dénomination, l'adresse e-mail du compte, son site et le dirigeant déclaré (prénom, nom, qualité) ; elle ne reçoit de Stripe que l'état du compte (ouvert, restreint, en vérification, ce que Stripe demande encore) et ce qu'il faut pour payer le marchand (article 2, tableau). Une pièce qu'un marchand a déposée chez AJEK avant le 28/09/2026 suit les durées de l'article 5.1.
2.3 La connexion par un compte Google ou Apple est retirée (marchands et porteurs) depuis le 6 novembre 2026 : aucune page ne la propose plus, et nous ne recevons plus rien de ces services. Pour un compte ouvert avant par ce moyen, nous gardons l'adresse e-mail vérifiée alors transmise, le nom du service et la date du lien, tant que le compte existe : ils sont effacés avec lui. Ce compte s'ouvre désormais comme les autres — avec un mot de passe, choisi au besoin par « Mot de passe oublié ? » et le code envoyé à cette adresse.
| Données | Pourquoi | Base légale |
|---|---|---|
| Identifiant E-Carte et code associé — tirés au hasard à la vérification du compte, affichés dans l'application | Rattacher chaque titre à son porteur au comptoir : le client donne son identifiant au vendeur, dont l'écran montre le prénom, l'initiale du nom et le code associé ; le client confirme le code — une erreur de saisie ne rattache pas le titre à un autre compte | Exécution du contrat (6.1.b) |
| Numéro de mobile — déclaré par le porteur, il sert aussi à se connecter (avec l'adresse e-mail, au choix) ; à la création du compte, si le porteur choisit ce moyen, il est confirmé par le code reçu par SMS (ligne suivante) | Se connecter ; être contacté pour le rendez-vous ; rattacher au compte un titre remis sur une commande passée sans compte à un distributeur nomade, ou gardé à la suppression d'un compte : il attend ce numéro, puis rejoint un compte vérifié après contrôle par le service client. Un numéro n'est tenu que par un compte vérifié. Appliquer, par porteur, les plafonds du réseau à chaque vente | Exécution du contrat (6.1.b) ; intérêt légitime — prévention de la fraude (6.1.f) |
| Code envoyé par SMS au numéro de mobile — à la création du compte, si le porteur choisit ce moyen, et pour un mot de passe oublié, s'il le demande par SMS — sa date d'envoi, le nombre d'essais faux et de renvois, son empreinte jusqu'à ce qu'il serve (le code lui-même n'est pas gardé) — et le journal de l'envoi : le numéro, la date, l'issue (parti, ou la raison de l'échec) | Vérifier le compte, une seule fois, à sa création : le code reçu par SMS et saisi dans l'application — il confirme le numéro de mobile, pas l'adresse e-mail ; retrouver un mot de passe oublié par un code qui ouvre le compte sur « Modifier mon mot de passe » : par SMS au mobile vérifié tant que l'adresse n'est pas confirmée (jamais à l'adresse non confirmée), au choix par e-mail ou par SMS une fois l'adresse confirmée ; borner les envois (par numéro, par connexion et pour tout le service) pour prévenir les abus. Aucun SMS n'est envoyé à la connexion ni pour aucune autre raison : une fois vérifié, le compte s'ouvre avec l'identifiant et le mot de passe | Exécution du contrat (6.1.b) ; intérêt légitime — prévention de la fraude et des abus (6.1.f) |
| Adresse e-mail du compte, et le code qui la vérifie (date d'envoi, nombre d'essais faux — le code lui-même n'est pas gardé) | Vérifier le compte, une seule fois : le code reçu à cette adresse et saisi dans l'application — ou, au choix du porteur à la création, le code reçu par SMS (ligne précédente) ; l'adresse reçoit alors les reçus et les avis du compte, et le porteur la confirme depuis son compte par le code reçu à cette adresse — d'ici là, elle n'appartient pas au compte : celui qui la vérifie sur un autre compte la garde, et elle est retirée de celui-ci ; s'y connecter, au choix avec le mobile ; réinitialiser le mot de passe ; confirmer une nouvelle adresse (le code part à elle, et un avis à l'ancienne) | Exécution du contrat (6.1.b) |
| Clé d'accès d'un appareil (une passkey : Face ID, Touch ID, empreinte ou code de l'appareil), si le porteur l'active depuis son compte — la partie publique de la clé, son identifiant, le nom de l'appareil, son compteur de signatures, les dates d'ajout et de dernière utilisation | Reconnaître l'appareil à la connexion, sans mot de passe : l'appareil signe un défi du service, qui vérifie la signature avec la partie publique ; la partie privée ne quitte jamais l'appareil ; le porteur retire la clé quand il veut depuis son compte, et la suppression du compte l'efface | Exécution du contrat (art. 6.1.b) |
| Notifications du téléphone, si le porteur les accepte sur son téléphone dans l'application E-Carte (iPhone ou Android) — le jeton d'acheminement que le système du téléphone donne à l'application, la plateforme, les dates d'enregistrement et de son dernier renouvellement par l'application, la session de l'application qui l'a posé, le dernier refus d'Apple ou de Google ; de chaque notification, sa clé (ce qu'elle annonce : une demande, un message, un titre…) et sa date d'envoi — jamais le nom ni le modèle du téléphone | Prévenir le porteur, sur ce téléphone, de ce qui l'attend : un titre arrivé sur sa E-Carte, une demande de transmission à distance de son marchand, une déduction à accepter sur un site, un message de son marchand, un titre proposé par un proche, une transmission rendue, un bon d'achat offert, et l'étape de sa commande à un distributeur nomade — acceptée, en route, sur place, ou fermée sans son fait ; chaque notification ne part qu'une fois, et dit le nom du marchand — jamais un montant ni le nom d'une personne | Exécution du contrat (art. 6.1.b) : un service que le porteur demande sur son téléphone, qu'il coupe quand il veut (6.1) |
| Rattachement d'un numéro par le service client : l'appel passé à ce numéro, sa date, le compte qui garde le numéro et celui qui le perd | Rendre son numéro à son titulaire quand un autre compte l'a déclaré : le service client l'appelle à ce numéro, puis le rattache à son compte | Exécution du contrat (6.1.b) ; intérêt légitime — prévention de la fraude (6.1.f) |
| Pour un compte ouvert avec un compte Google ou Apple avant le 6 novembre 2026 : l'adresse e-mail vérifiée alors transmise, le nom de ce service et la date du lien | Garder l'adresse du compte — voir l'article 2.3 | Exécution du contrat (6.1.b) |
| Compte du porteur (identité, coordonnées) | Tenir le compte ; appliquer les paliers de prévention de la fraude (espèces, carte) — AJEK n'est pas assujettie à la lutte contre le blanchiment : ces paliers sont les siens | Exécution du contrat (6.1.b) ; intérêt légitime — prévention de la fraude (6.1.f) |
| Vérification de son identité par un commerce ou un distributeur nomade du réseau, au-delà des paliers : le point qui l'a faite et la personne qui l'a attestée, sa date, le nom du compte comparé à la pièce, le type de la pièce présentée (carte nationale d’identité, passeport, titre de séjour ou permis de conduire français), sa date de fin de validité, ses quatre derniers caractères, ce que le vendeur a constaté, le prix payé et son reçu ; son annulation éventuelle et son motif — jamais une copie de la pièce, ni son numéro entier, ni la date de naissance | Appliquer les paliers de prévention de la fraude : au-delà, un nouvel achat demande l'identité vérifiée ; savoir jusqu'à quand elle vaut (la fin de validité de la pièce) et prévenir le porteur avant ; établir le reçu du vendeur et la facture de notre part | Intérêt légitime — prévention de la fraude (6.1.f) ; exécution du contrat (6.1.b) ; obligation légale — conservation des pièces comptables (6.1.c) |
| Vérification de son identité en ligne, gratuite, au choix du porteur (3.0 bis) : une photo de chaque face de sa pièce d'identité et une photo de lui tenant la pièce (« selfie »), déposées sur le site PayEnCash, dans un navigateur — jamais dans l'application E-Carte téléchargée depuis l'App Store ou Google Play —, filigranées sur son appareil avant l'envoi puis par AJEK à leur réception ; le type de la pièce et la date de fin de validité qu'il déclare ; la demande (sa date, son état) ; son contrôle — la personne d'AJEK qui l'a fait, sa date, le type et la date de fin de validité relevés — et sa décision : la vérification née de sa validation, ou le motif d'un refus | Vérifier l'identité du porteur sans qu'il se déplace, au-delà des paliers ; lui dire la décision et, refusée, pourquoi, pour qu'il dépose de nouveau ; savoir jusqu'à quand elle vaut et le prévenir avant ; pouvoir revenir sur une vérification en cas d'erreur ou de fraude | Intérêt légitime — prévention de la fraude (6.1.f) |
| Titres reçus à la vente (code, marchand émetteur, date d'émission, moyen d'achat), rattachés au compte (son identifiant E-Carte au comptoir, le compte connecté en ligne, la commande chez un distributeur nomade), et date de leur arrivée dans l'application ; titres proposés par un marchand et ouverts sous le compte (référence, date de réception) | Retrouver ses titres et ce qu'il en reste — l'application ne détient aucune valeur : elle relit l'état du titre à chaque ouverture ; compter les paliers de prévention de la fraude | Exécution du contrat (6.1.b) ; intérêt légitime — prévention de la fraude (6.1.f) |
| Achat d'un titre en ligne dans l'application (le marchand, le montant, la date, la vente, l'accord de la vente ferme — l'instant où la case a été cochée et la version de ses mots) et, de la carte utilisée : son réseau, ses quatre derniers chiffres et le jeton rendu par le prestataire de paiement — le numéro de la carte est saisi chez ce prestataire et n'est conservé ni par AJEK ni par l'application | Vendre le titre et établir son reçu ; prouver l'accord de la vente ferme, redit dans l'e-mail qui envoie le titre ; rembourser sur la même carte un double paiement, une vente annulée ou, pour un titre acheté avant la vente ferme, sa rétractation ; appliquer les plafonds du réseau et les paliers de prévention de la fraude (carte) | Exécution du contrat (6.1.b) ; obligation légale — conservation des pièces comptables (6.1.c) |
| Usages d'un titre sur le site du marchand (montant pris, date, référence de la commande, compte du porteur) | Retracer chaque usage — c'est ce qui permet de refuser un usage frauduleux et de répondre au marchand | Intérêt légitime (prévention de la fraude, 6.1.f) |
| Position de l'appareil, si le porteur l'autorise | Trier les points de vente les plus proches ; classer les boutiques par la distance de leur point de vente le plus proche (« Près de moi » — calculée sur l'appareil, la position n'est alors envoyée nulle part) ; nommer la rue où l'on se trouve et poser le point d'un rendez-vous — pour lire le nom de la rue, la position est envoyée à la Base Adresse Nationale quand le porteur se localise (« Me localiser », « Utiliser ma position », ou d'elle-même à l'ouverture de la carte une fois la position autorisée) ; juste après « Utiliser ma position », elle accompagne aussi la recherche d'adresse qui suit, pour classer d'abord les adresses proches — jamais autrement ; pour trier les points de vente et trouver les distributeurs nomades qui viennent jusqu'à vous, elle est aussi envoyée à notre service — avec la session de votre compte, si vous êtes connecté —, qui ne la garde pas ; pour une demande de rendez-vous, elle est transmise au seul distributeur nomade choisi | Consentement (6.1.a), retirable à tout moment dans les réglages de l'appareil |
| Texte tapé dans une recherche d'adresse (l'adresse d'un rendez-vous avec un distributeur nomade) | Proposer les adresses qui y répondent : ce texte est envoyé à la Base Adresse Nationale, sans nom ni numéro de mobile — la position de l'appareil ne l'accompagne que si le porteur vient de toucher « Utiliser ma position » pour cette recherche. AJEK ne garde pas la recherche elle-même : l'adresse finalement retenue part avec la demande de rendez-vous (ligne « Adresse ou point de rencontre » ci-dessous) | Exécution de la demande (6.1.b) |
| Acceptations des conditions par la case (à l'inscription et pour une version suivante), mise à disposition de cette politique et, le cas échéant, signatures données auparavant dans le lecteur (document, version, phrase cochée, date et heure, nom affiché du compte, compte, mobile déclaré et adresse e-mail vérifiée masqués, date de la vérification d'identité si elle a été faite, texte lu et son empreinte, navigateur) | Tracer la mise à disposition et prouver l’accord donné selon le procédé utilisé, dans leur version (article 8) | Exécution du contrat (6.1.b) ; intérêt légitime à conserver la preuve (6.1.f) |
| Rencontre avec un distributeur nomade : le prénom donné, l'adresse ou le point de rencontre — avec les consignes d'accès (étage, porte, instructions) —, la note éventuelle écrite au distributeur, le téléphone et le canal choisi, avec la phrase de consentement à l'appel, le moyen de règlement annoncé pour la rencontre (billets ou carte) et, si le porteur l'autorise, la position de la demande | Transmis au seul distributeur nomade qui prend la demande, pour cette rencontre — jamais aux autres ; il appelle avant d'accepter, puis vient au rendez-vous. Pour s'y rendre, il peut toucher « Itinéraire » : l'app de cartes de son appareil reçoit alors la position du point du rendez-vous (article 4.12) | Exécution de la demande (6.1.b) ; consentement pour l'appel et pour la position — conservés le temps de la rencontre (article 5.5) |
| Accord de la vente ferme donné à la commande à un distributeur nomade (l'instant où la case a été cochée, la version de ses mots), gardé avec la commande puis avec la vente du titre | Prouver l'accord, et le redire dans la confirmation de la commande et sur le reçu du titre (politique de remboursement, article 3.4) | Exécution du contrat (6.1.b) ; intérêt légitime à conserver la preuve (6.1.f) — conservé avec la vente du titre |
| À la suppression du compte : le choix fait sur les titres encore valables (gardés au numéro, ou détachés — téléchargés et/ou envoyés par courriel) et, pour un envoi, l'adresse de courriel donnée | Appliquer ce choix (article 5.6) : laisser les titres au seul numéro de mobile, ou les détacher et en envoyer le détail — marchand, code, ce qu'il reste, validité, site — à l'adresse donnée | Exécution de la demande de la personne (6.1.b) |
| Code de confirmation envoyé par e-mail à l'adresse vérifiée du compte, avant de détacher ou d'envoyer des titres, de changer de mobile, ou pour une demande sur ses données faite par téléphone (date d'envoi, objet, nombre d'essais faux) | S'assurer que la demande vient bien du titulaire du compte : sans code juste, rien n'est détaché, envoyé ni changé | Exécution de la demande de la personne (6.1.b) ; intérêt légitime — sécurité des titres et prévention de la fraude (6.1.f) |
| Empreinte du numéro de mobile gardée sur un titre détaché à la suppression d'un compte (SHA-256 avec un sel secret conservé par AJEK : elle ne permet pas, sans lui, de retrouver le numéro) | Continuer de compter ce titre dans les plafonds du réseau et les paliers de prévention de la fraude du même numéro, chaque fois que ce numéro achète de nouveau un titre — avec ou sans compte — ou qu'un compte est rouvert avec lui ; jamais le lui rendre | Intérêt légitime — prévention de la fraude (6.1.f) |
| Code d'appel : six chiffres affichés sur la page Hotline de l'application E-Carte quand le compte est connecté, qui changent seuls à intervalle court ; sa vérification par le conseiller (conseiller, date et heure, résultat, compte retrouvé) | S'assurer, au téléphone, que la personne parle depuis son compte : le conseiller vérifie le code que cette personne lui dicte. Le code lui-même n'est conservé nulle part — il se recalcule ; les essais faux se comptent, pour arrêter les essais au hasard (article 5.7) | Intérêt légitime — sécurité du compte et prévention de la fraude (6.1.f) |
| Numéro précisé pour un rappel de la hotline (un autre numéro que le mobile du compte) et sujet choisi — pour « mon numéro est pris par un autre compte », le numéro en question | Rappeler la personne à ce numéro, pour cette seule demande ; quand un autre compte tient son numéro, l'appel à ce numéro prouve qu'il est à elle avant qu'il rejoigne son compte | Exécution de la demande (6.1.b) |
| Demande de remboursement d'un titre (« Changer d'avis ») : le titre, le cas (reprise au comptoir ou rétractation), le prix payé, les frais, le montant rendu, le moyen de paiement d'origine, le code de reprise, les dates de la demande, de l'échéance et du remboursement, le vendeur qui rembourse | Instruire la demande, bloquer le titre, permettre à son vendeur de vous rembourser par le moyen d'origine sur présentation du code, défaire la vente dans le réseau, vous confirmer le remboursement par e-mail (politique de remboursement) | Exécution du contrat (art. 6.1.b du RGPD) ; obligation légale pour la rétractation (code de la consommation) |
| Rappels avant la date d’un titre (la date, le montant restant, le site du marchand) | Vous prévenir par e-mail 30 puis 7 jours avant la date d’un titre qui n’est pas entièrement utilisé — sans publicité | Exécution du contrat (art. 6.1.b du RGPD) |
| E-Carte de chaque marchand : sa référence (et celles qu'elle a portées avant, qui ne se lisent plus), le favori choisi, ses passages en caisse (date, montant, marchand, référence) et le dernier code à usage unique affiché — six chiffres, valable cinq minutes, pour un seul passage en caisse ; ses saisies fausses se comptent | Utiliser la E-Carte dans les magasins d’un marchand : la caisse du marchand lit le code-barres que le porteur lui montre, ou sa référence et son code, et utilise ses titres ; arrêter les essais au hasard | Exécution du contrat (6.1.b) ; intérêt légitime — prévention de la fraude (6.1.f) |
| Transmissions à distance d’une E-Carte à son marchand : le montant fixé, le message facultatif écrit au marchand (au plus cent quarante caractères), la confirmation donnée — le code recopié d'une commande à distance, ou le geste d'une transmission ouverte d'un lien du marchand —, la date, la référence, les titres pris ; le cas échéant, la validation, le refus ou le rendu par le marchand et son motif, ou le retour du montant faute de réponse ; ce que le porteur en a vu | Transmettre la E-Carte à son marchand sans passer en magasin, avec son accord ; lui transmettre le message ; prévenir le porteur et le marchand (application et e-mail) ; retracer chaque transmission et son rendu | Exécution du contrat (6.1.b) ; intérêt légitime — prévention de la fraude (6.1.f) |
| Demandes de déduction sur le site d'un marchand : le marchand, la commande et son montant, la E-Carte désignée par la référence saisie, le site déclaré par le marchand, l'adresse de la page d'où vient la demande (une trace, jamais montrée), les dates, les deux chiffres à recopier et les erreurs, l'accord (ce qui a été vu, ce qui a été déduit) ou le refus (« Ce n'est pas moi »), le rendu ou le retour d'office ; le code « site » (son montant, sa durée, ses essais, son usage). L'adresse IP d'où vient la demande sert à freiner les demandes répétées, sans être conservée avec la demande | Prévenir le porteur et recueillir son accord avant toute déduction ; utiliser ses titres sur la commande ; changer la référence d'une E-Carte à son refus ; freiner les essais au hasard et les demandes répétées | Exécution du contrat (6.1.b) ; intérêt légitime — prévention de la fraude (6.1.f) |
| Réservation d'un titre au point de vente (le marchand, le montant, le point choisi, ses dates, son état) et demande de prolongation d'un titre (sa date, la décision du marchand) | Faire vendre le titre réservé, au comptoir de n'importe quel commerce du réseau, à son seul titulaire ; transmettre la demande de prolongation au marchand et en dire la réponse | Exécution du contrat (6.1.b) |
| Avis sur un marchand : la note, le texte, le prénom et l'initiale du nom de l'auteur (figés au dépôt), la date de l'expérience (la première dépense de la E-Carte chez le marchand), les dates de dépôt, de publication et de modification, la décision d'AJEK et son motif, les signalements du marchand | Publier, sur la fiche du marchand dans l'application E-Carte, des avis contrôlés : seul un acheteur vérifié en dépose, AJEK les lit avant publication (code de la consommation, art. L111-7-2 et D111-9 à D111-11) | Exécution de la demande de la personne (6.1.b) ; intérêt légitime — l'authenticité des avis publiés (6.1.f) |
| Signalement d'un contenu : le message d'un marchand dans la conversation d'une commande, ou un avis publié sur la fiche d'un marchand, que vous signalez — le contenu cité, sa date, la commande ou l'avis, la raison que vous donnez s'il y en a une ; et un message que vous avez écrit à un marchand, s'il le signale (le message cité, votre nom, sa date, la commande) | Le faire relire par l'assistance de PayEnCash (4.9) ; le marchand ne reçoit pas votre signalement, ni l'auteur d'un avis | Intérêt légitime — la sécurité du service et la protection de ses utilisateurs (6.1.f) |
| Blocage d'un marchand dans la conversation d'une commande : le marchand bloqué, la commande, la raison que vous donnez s'il y en a une, la date, puis celle du déblocage | Ne plus recevoir ni afficher les messages de ce marchand, votre commande suivant son cours ; prévenir l'assistance de PayEnCash (4.9) | Intérêt légitime — la sécurité du service et la protection de ses utilisateurs (6.1.f) |
| Consentement « Communications », si vous l'activez dans l'application E-Carte (Compte › Préférences de communication) : le texte accepté, la version de cette politique, la date de l'acceptation et celle du retrait ; l'adresse e-mail du compte | Vous écrire par e-mail les nouveautés des marchands du réseau et de PayEnCash — seulement si vous l'avez activé, et plus du tout dès que vous le retirez | Consentement (6.1.a) ; sa trace : obligation de démontrer le consentement (art. 7.1) |
| Coups de cœur (l'article, la taille, le montant du titre, la date) et commande d'un article : le nom sur le colis, l'adresse d'envoi, le numéro de mobile, l'accord donné, la discussion avec le marchand (messages, lus ou non), et les moyens de contact que vous choisissez d'y partager (votre mobile, vos comptes WhatsApp, Snapchat, TikTok ou Instagram), les étapes de la commande ; les moyens de contact que vous gardez dans votre compte | Garder l'article que vous voulez acheter ; transmettre votre commande au marchand, qui vous envoie l'article, et vous en montrer le suivi | Exécution du contrat (art. 6.1.b du RGPD), à votre demande et avec votre accord pour la transmission au marchand |
| Programme de fidélité d'un marchand : les montants de vos titres achetés (ou, pour un programme publié avant le 14 octobre 2026, utilisés) chez lui depuis la publication de son programme, les bons et remises déjà offerts et utilisés ; le bon pris d’office sur chaque utilisation de votre E-Carte (son montant, l’achat qu’il réduit, où : magasin, site, à distance, Boutique), figé avec elle. Le marchand voit le bon pris sur chacune de ses utilisations et, en caisse, le bon disponible de son client après son code ou le scan de sa E-Carte — jamais votre cumul ni vos autres achats | Vous dire où vous en êtes, ouvrir le bon que le marchand propose quand le montant qu’il a fixé est atteint, et le prendre d’office sur vos achats chez lui | Exécution du contrat (art. 6.1.b du RGPD) — les conditions des titres de paiement à usage spécifique, article 1.1 bis |
| Jeu concours d'un marchand : les achats de ses produits ou services payés avec vos titres pendant le jeu (le montant que vos titres ont couvert, la date, où : magasin, Boutique, site, à distance) et les participations qu'ils donnent ; au tirage, la liste figée — un identifiant pseudonyme par participant (l'empreinte SHA-256 d'un sel propre au jeu et de votre compte) et son nombre de participations — et son résultat ; si vous gagnez, votre lot, votre prénom et votre nom, sa remise, sa réception et la conversation du lot avec le marchand ; votre choix de ne pas participer, s'il est fait | Compter vos participations et vous les dire ; faire un tirage au sort que chacun peut refaire, sans publier aucun nom ; vous prévenir si vous gagnez et permettre au marchand de vous remettre votre lot. Au tirage, ne sont pas tirés au sort un compte qui n'est pas vérifié et actif, un compte qui a choisi de ne pas participer, ni un compte à l'adresse e-mail d'une personne qui a un accès à l'espace du marchand (comparée, sans être gardée) | Exécution du contrat — le règlement du jeu, accepté en participant (6.1.b) ; intérêt légitime — la loyauté du tirage (6.1.f). Vous pouvez choisir à tout moment de ne pas participer (6.1) |
| Achat confirmé par le lien de partage d'un marchand : le lien, le prénom et l'initiale du nom du porteur, le montant, la date et l'état du titre (en attente de paiement, payé, expiré, annulé), les relances du marchand (leur date) | Permettre au marchand de suivre les ventes de ses liens et de rappeler, par une notification dans l'application E-Carte seulement, un titre qui attend son paiement (CGU de l'application E-Carte, 3.9 quinquies). Le marchand voit le prénom et l'initiale du nom, le montant, la date et l'état — jamais l'identifiant E-Carte, l'adresse e-mail ni le numéro de mobile | Exécution du contrat (6.1.b) ; intérêt légitime du marchand au suivi de ses ventes (6.1.f) |
| Coupon d'achat offert reçu : le coupon, la date de sa réception, le compte qui l'a reçu et les titres offerts qui en sont nés | Ajouter le titre offert une seule fois par compte et le rattacher à la E-Carte du porteur (CGU de l'application E-Carte, 3.9 sexies). Le marchand voit combien de personnes ont reçu son coupon et quand — jamais qui | Exécution du contrat (6.1.b) |
| Réservation à la boutique Shopify d'un marchand, si le porteur la choisit : la réservation, les titres réservés et leur montant, le code créé sur la boutique — la référence de sa E-Carte chez ce marchand sans ses tirets, ou un code tiré au hasard — (chiffré avec la réservation, effacé quand le code est désactivé ; la référence qui a servi de code reste attachée à la E-Carte, avec ses autres références, pour n'être jamais redonnée à un autre code), les titres ajoutés ensuite au même code et le mouvement de crédit de chacun chez Shopify, ce que la boutique a pris ou rendu, la récupération du montant restant | Créer le code et le montrer au porteur ; déduire des titres ce que la boutique a pris ; rendre le montant restant à la récupération (CGU de l'application E-Carte, article 3.14) | Exécution du contrat (6.1.b) |
3.0 La vérification d'identité, au point. Le commerce ou le distributeur nomade qui vérifie l'identité d'un porteur voit, avant de la faire, le prénom et le nom de son compte — qu'il compare à la pièce présentée — et, au comptoir, son code associé ; il relève ce que dit le tableau ci-dessus, sans rien copier. Il ne garde ensuite, de chaque vérification faite chez lui, que sa date, le prénom et l'initiale du nom du porteur, le type de la pièce et les prix ; une annulation par AJEK, avec son motif.
3.0 bis La vérification d'identité, en ligne. Les photos de la pièce et le selfie qu'un porteur dépose sur le site PayEnCash, dans un navigateur (Compte › Identité) — l'application E-Carte téléchargée depuis l'App Store ou Google Play n'en prend aucune : elle ouvre cette page hors d'elle, dans un navigateur (sous Android, le téléphone propose où l'ouvrir) — ne sont vus que par les personnes d'AJEK habilitées au contrôle des pièces — au back-office et à l'assistance (la hotline), qui les voit le temps de leur contrôle seulement ; jamais par un commerce, un distributeur nomade ou un marchand. Une personne les regarde : aucune comparaison automatique, aucun traitement biométrique. Chaque photo porte, en filigrane, le nom d'AJEK, son usage et sa date — posé sur l'appareil du porteur, puis par AJEK à sa réception : aucune photo n'est gardée sans filigrane. Le selfie est effacé dès la décision (validée ou refusée) ; la photo de la pièce suit la durée de la copie d'une pièce d'identité (5.1). Le porteur voit sa demande, sa décision et le motif d'un refus dans l'application E-Carte, et reçoit chaque étape par e-mail. Si PayEnCash désignait un prestataire de vérification d'identité (4.1), l'application E-Carte téléchargée depuis l'App Store ou Google Play ouvrirait la vérification de ce prestataire, qu'elle nomme, et la pièce et le selfie se déposeraient chez lui : ce qui précède décrit le dépôt sur le site PayEnCash.
3.1 Le commerce ou le distributeur nomade qui vend un titre lit, sur l'ordre de vente, le marchand et le montant à vendre ; pour rattacher le titre à son porteur, le vendeur saisit l'identifiant E-Carte que le client lui donne, et son écran lui montre le prénom, l'initiale du nom et le code associé du porteur, qu'il lui lit pour confirmation — rien de plus : jamais son numéro de mobile. Le marchand voit l'usage de ses titres (montant, date, référence de sa commande) — pas l'identité du porteur, qu'AJEK seule conserve, sauf trois choses : en magasin, sa caisse lit le prénom et l'initiale du nom du porteur de la E-Carte qu'on lui présente, pour vérifier qu'elle est la sienne ; une transmission à distance lui dit le prénom et l'initiale du nom de qui la lui transmet, avec son message s'il en écrit un ; et un avis publié sur sa fiche porte le prénom et l'initiale du nom de son auteur, comme pour tout visiteur de la fiche. D'un titre que le porteur signale refusé, le marchand ne reçoit que le titre, la note du refus (sa date, ce qui restait sur le titre) et les dates — ni son nom, ni ses échanges avec la hotline.
4.1 Les équipes d'AJEK habilitées au contrôle et au règlement (manager, hotline) ; nos sous-traitants au sens de l'article 28 du RGPD (hébergeurs OVH SAS et DigitalOcean, LLC, plateforme de facturation électronique — Odoo — et Brevo (Sendinblue SAS, France), qui envoie le SMS d'un code — la vérification d'un compte E-Carte ou d'un compte marchand quand ce moyen est choisi à sa création, ou un mot de passe oublié demandé par SMS : il reçoit le numéro de mobile et le texte du SMS — le code —, rien d'autre (articles 2 et 3)) ; le prestataire de vérification d'identité que PayEnCash désignerait pour la vérification en ligne (3.0 bis), qui recevrait, comme sous-traitant d'AJEK, la pièce et le selfie déposés chez lui — à la date de la présente version, aucun n'est désigné ; Stripe, notre prestataire de paiement, chez qui se saisissent la carte de l'abonnement d'un marchand, qu'il enregistre, et la carte d'un achat en ligne dans l'application E-Carte, destinataire des données qui préremplissent l'inscription d'un marchand chez Stripe (article 2.2) et de celles des transferts et des versements qui la paient ; notre expert-comptable ; l'administration fiscale, pour les factures électroniques et sur demande ; les commerces et les distributeurs nomades du réseau — le vendeur d'un titre voit le prénom, l'initiale du nom et le code associé du porteur auquel le titre est rattaché — jamais son numéro de mobile (article 3.1) ; le distributeur nomade choisi pour un rendez-vous reçoit le prénom, l'adresse ou le point de rencontre avec ses consignes d'accès, la note éventuelle, le téléphone, le canal et, si le porteur l'autorise, la position de la demande ; le point qui vérifie l'identité d'un porteur, ce que dit l'article 3.0 — et les marchands — un marchand reçoit les usages de ses titres (montant, date, référence de sa commande) —, dans les seules limites de l'article 3.1 ; la Base Adresse Nationale (api-adresse.data.gouv.fr, service public), qui reçoit, sans nom ni numéro de mobile, le texte tapé dans une recherche d'adresse — avec la position de l'appareil seulement quand la personne vient de toucher « Utiliser ma position » pour cette recherche — et, quand la personne se localise, la position de l'appareil pour en rendre le nom de la rue ; comme tout service en ligne, elle voit l'adresse IP de l'appareil qui l'interroge ; l'API Géo (geo.api.gouv.fr, service public), qui reçoit le code postal ou le début du nom de commune tapé dans une adresse — le siège d'un marchand à son inscription, une adresse d'envoi dans l'application E-Carte —, pour proposer les communes qui y répondent — ce texte seul, et l'adresse IP de l'appareil ; les autorités lorsque la loi l'impose.
4.2 Aucun transfert hors de l'Union européenne sans garanties appropriées (articles 44 et suivants du RGPD). Les notifications du téléphone (4.8) en comportent un : pour un téléphone Android, Google LLC les achemine depuis les États-Unis, certifiée au cadre de protection des données UE–États-Unis (Data Privacy Framework), reconnu comme assurant un niveau de protection adéquat par la décision d'exécution (UE) 2023/1795 du 10 juillet 2023 (article 45 du RGPD) ; pour un iPhone, Apple Inc. les achemine depuis les États-Unis, et encadre ses transferts de données depuis l'Espace économique européen par des clauses contractuelles types (article 46 du RGPD), comme le dit sa propre politique de confidentialité.
4.3 Le vendeur d'un titre dont vous demandez le remboursement voit la demande qui le concerne — le titre, le montant à rendre, le moyen de paiement d'origine, la date limite — et le code de reprise que vous lui montrez ; il ne voit ni votre nom, ni votre numéro, ni votre adresse e-mail.
4.4 Le marchand dont vous commandez un article reçoit, avec votre accord, votre nom, votre adresse d'envoi, votre numéro de mobile, et la discussion de la commande : il les traite pour exécuter sa vente et l'envoi, sous sa propre responsabilité (il est responsable de ce traitement), et pour rien d'autre. Les moyens de contact que vous partagez dans la conversation d'une commande, par votre geste, lui sont transmis pour cette commande seulement ; un lien vers WhatsApp, Snapchat, TikTok ou Instagram ouvre l'application de ce réseau, sous ses propres conditions. Les équipes d'AJEK habilitées (manager, hotline) peuvent lire la conversation d'une commande, pour l'assistance et l'instruction d'une réclamation.
4.5 Les avis publiés se lisent par toute personne qui ouvre la fiche du marchand dans l'application E-Carte : la note, le texte, le prénom et l'initiale du nom de l'auteur, la date de l'expérience et celle de la publication. Un avis refusé ou retiré n'est lu que de son auteur, avec son motif.
4.6 Une demande de déduction sur le site d'un marchand : le marchand ne reçoit que son état, la commande, son montant, ses dates et ce qui a été déduit — jamais votre nom, vos autres titres, ni la raison pour laquelle une demande n'a pas abouti. Plusieurs refus en peu de temps ouvrent un dossier au service client de PayEnCash.
4.7 Un jeu concours. La liste figée au tirage et son résultat se lisent par toute personne qui ouvre la page du jeu : des identifiants pseudonymes et des nombres de participations, jamais un nom ; chaque participant lit le sien, et son résultat, dans l'application E-Carte. Le marchand qui organise le jeu ne reçoit que les chiffres de son jeu — et, de chaque gagnant, son prénom et son nom, pour lui remettre son lot, et la conversation du lot : il ne s'en sert qu'à cette fin, sous sa propre responsabilité.
4.8 Les notifications du téléphone. Pour vous prévenir sur votre téléphone, le service remet la notification au service de notification du système de ce téléphone — Apple Push Notification service (Apple Inc.) pour un iPhone, Firebase Cloud Messaging (Google LLC) pour un téléphone Android — avec le jeton de l'appareil : il reçoit ce jeton, le texte de la notification (dans l'application E-Carte, le nom d'un marchand et une phrase — celle d'un titre arrivé dit son montant ; dans l'application de l'espace marchand, un titre et une phrase ; jamais le nom d'une personne) et l'adresse de la page que l'application ouvre quand vous la touchez (des références internes — celle d'une commande, d'un titre, d'un marchand, d'une transmission —, jamais votre nom), et l'achemine jusqu'à votre téléphone. Aucun marchand ne reçoit le jeton d'un porteur, aucun porteur celui d'un marchand.
4.9 Un contenu signalé. Un signalement — le message d'un client signalé par le marchand, le message d'un marchand ou un avis signalé par un porteur — va à l'assistance de PayEnCash (manager, hotline), qui lit le contenu cité et décide : elle peut retirer un avis, ou suspendre l'accès du compte de son auteur. Celui dont le contenu est signalé n'en reçoit pas copie ; celui qui signale suit sa demande dans la Hotline de son application (« Mes demandes »). Un blocage — un marchand par un porteur, ou un client par le marchand, dans la conversation d'une commande — va de même à l'assistance, avec la raison donnée s'il y en a une ; celui qui est bloqué lit seulement que ses messages ne sont plus reçus.
4.10 La boutique Shopify d'un marchand. Le Service crée le code d'une réservation sur la boutique du marchand, chez Shopify — la référence de la E-Carte du porteur chez ce marchand, sans ses tirets, ou un code tiré au hasard —, avec son montant, son échéance et la référence de la réservation, puis y crédite les titres que le porteur y ajoute — jamais le nom, l'adresse ni le numéro du porteur ; Shopify le traite pour le marchand, sous sa responsabilité. Le marchand voit, dans l'admin de sa boutique, les codes créés et ce qu'il en reste, jamais l'identité de leur porteur. Une demande de confidentialité qui concerne un client de sa boutique ne va qu'à la Direction d'AJEK.
4.11 Les communications. Si vous activez « Communications », les e-mails partent de PayEnCash, à l'adresse de votre compte : votre adresse n'est remise à aucun marchand, et un marchand n'en reçoit ni la liste ni votre choix.
4.12 Le fond de carte. Sur les pages qui montrent une carte (les points de vente, les distributeurs, l'adresse d'un rendez-vous), les images du fond de carte sont demandées à CARTO (basemaps.cartocdn.com) : ce service reçoit l'adresse IP de l'appareil et la zone de carte affichée — jamais votre nom, votre adresse e-mail ni votre compte. Ses serveurs peuvent être situés hors de l'Union européenne (article 4.2). La politique de cookies le nomme parmi les services extérieurs appelés par nos pages. « M'y rendre » ouvre l'app de cartes de votre appareil — Plans sur iPhone, celle que vous avez choisie sur Android, sinon Plans d'Apple sur le web — avec la seule destination, la position du point de vente : rien ne part avant que vous ne la touchiez, et ce sont alors les règles de cette app qui s'appliquent. De même, le distributeur nomade que vous avez choisi peut toucher « Itinéraire » pour venir au rendez-vous : l'app de cartes de son appareil (Plans d'Apple sur iPhone ou sur le web, celle qu'il a choisie sur Android) reçoit alors la position du point de rencontre, souvent votre adresse — jamais votre nom ni votre numéro.
5.1 Données de l'inscription et de la vérification (d'un marchand : la fiche de sa société au registre, son dirigeant, sa déclaration « réseau limité », l'état de son compte Stripe, et les pièces qu’il a déposées chez AJEK avant le 28/09/2026 ; d'un porteur : les pièces qu'il a déposées dans l'application E-Carte avant le 29/09/2026 et leur contrôle) : la durée de la relation, puis cinq ans (prescription entre commerçants, art. L110-4 du code de commerce) ; copie de la pièce d'identité : six ans au plus, filigranée, comptés depuis son dépôt — à ce terme, elle s'efface d'elle-même (celle d'un porteur comme celle du représentant d'un commerce ou d'un distributeur nomade ; un distributeur la dépose de nouveau si la relation continue) ; les photos de la pièce déposées sur le site PayEnCash pour la vérification d'identité en ligne (3.0 bis) suivent cette durée : copie conservée 6 ans au plus, filigranée, et partent avec le compte s'il est supprimé avant ; le selfie, lui, est effacé dès la décision ; vidéo de vérification : supprimée après contrôle — celle d'une vérification d'un porteur restée en cours au 29/09/2026, à sa clôture ; compte inactif : supprimé après deux ans sans connexion. Six ans est un maximum : aucune copie de pièce d'identité n'est gardée au-delà, et le selfie ne l'est que jusqu'à la décision. La vérification de l'identité d'un porteur par un point du réseau, ou en ligne (article 3) est conservée le temps de son compte — la demande en ligne aussi ; à sa suppression, elle est anonymisée — le nom comparé, le type de la pièce, sa date de fin de validité et ses derniers caractères sont effacés ; restent le point, la date et les montants, avec les pièces comptables (5.3) ; d'une vérification en ligne, sa date et sa décision (le texte d'un refus est effacé).
5.2 Données de compte, contrat, acceptations et signatures : la durée de la relation, puis la durée de la prescription applicable.
5.2 bis Le code reçu par SMS — à la création d'un compte E-Carte ou d'un compte marchand, ou pour un mot de passe oublié (articles 2 et 3) — n'est jamais conservé : seule son empreinte l'est, jusqu'au code suivant ou jusqu'à ce que le code serve (la vérification du compte, le mot de passe retrouvé) — elle est alors effacée ; sa date d'envoi et ses essais restent avec les données du compte (5.2). Le journal de l'envoi (le numéro, la date, l'issue) est conservé comme les autres messages envoyés par le Service, avec les données du compte (5.2) ; à la suppression du compte, le numéro en est effacé (5.6). Brevo, sous-traitant, ne traite ces données que pour envoyer le SMS, selon le contrat qui le lie à AJEK (article 28 du RGPD).
5.3 Titres, usages et règlements : la durée de validité des titres puis la durée de la prescription applicable ; les pièces comptables, dix ans (art. L123-22 du code de commerce). Dans l'application E-Carte, un titre reçu et la date de son arrivée restent au compte jusqu'à sa clôture.
5.4 Position de l'appareil : gardée sur l'appareil au plus une heure, pour trier les points de vente ; transmise avec une demande de rendez-vous, elle est effacée à la fermeture de la rencontre.
5.5 Prénom, adresse ou point de rencontre et consignes d'accès, note, téléphone et canal choisi d'une rencontre avec un distributeur nomade : le temps de la rencontre, effacés à sa fermeture — qu'elle ait eu lieu, qu'elle ait été refusée ou qu'elle ait expiré.
5.6 À la suppression d'un compte E-Carte, les données directement identifiantes de la fiche du porteur sont supprimées — ses vérifications d'identité aussi (5.1) — et la liste de ses titres effacée de l'application ; ses titres encore valables suivent le choix qu'il fait alors, sans lequel la suppression ne se fait pas : gardés à son numéro, ils restent rattachés à ce seul numéro de mobile — sans nom ni fiche — jusqu'à leur terme, et ne sont rattachés à un nouveau compte qu’après contrôle du numéro par le service client ; la seule ouverture d’un compte avec ce numéro ne donne pas accès aux titres ; détachés — après un code envoyé par e-mail à l'adresse vérifiée du compte —, ils ne sont plus rattachés à aucun numéro ni à aucune fiche, et le premier compte qui en utilise un sur le site de son marchand en devient le porteur. Les titres qui ne sont plus valables (épuisés, échus ou annulés) sont détachés quel que soit le choix. Ses avis sont effacés aussitôt, publiés ou non, comme les blocages de ses conversations. Un titre détaché garde une empreinte du numéro (voir le tableau de l'article 3) : elle sert uniquement à le compter dans les plafonds et les paliers de ce numéro, et elle est effacée 30 jours après la vente du titre — la plus longue des fenêtres des plafonds du réseau et des paliers de vérification d'identité. Le fichier téléchargé reste sur l'appareil de la personne ; AJEK n'en garde pas de copie. L'adresse de courriel donnée pour recevoir les titres détachés ne sert qu'à cet envoi : elle figure au journal des envois, sans être rattachée à aucun compte. Les usages déjà faits restent conservés selon l'article 5.3.
5.7 Le code d'appel et le rappel. Le code d'appel n'est jamais conservé : il se recalcule pour le compte connecté, et change seul. Chaque vérification qu'en fait un conseiller (qui, quand, le résultat, le compte retrouvé) et le numéro précisé pour un rappel sont conservés avec les échanges de l'assistance, pour la durée de l'article 5.2.
5.8 Une demande de remboursement est conservée avec la vente du titre qu'elle défait (5.3) : la trace d'un remboursement est une pièce de la vente. Le code de reprise ne sert plus une fois le remboursement fait.
5.9 Une commande d'article (adresse d'envoi, numéro, discussion, et les moyens de contact partagés dans sa conversation) est conservée le temps de la commande, jusqu'à sa réception ou son annulation, puis avec l'usage du titre qui l'a couverte (5.3) ; un coup de cœur fermé s'efface avec le titre proposé qui le portait. Les moyens de contact que vous gardez dans votre compte le restent jusqu'à ce que vous les retiriez, ou que vous effaciez le compte — les cartes de contact que vous avez partagées s'effacent avec lui.
5.10 Un avis est conservé vingt-quatre mois après sa dernière mise à jour, puis effacé ; retiré par son auteur, ou à la suppression de son compte, il est effacé aussitôt. Une réservation est conservée avec la vente du titre qu'elle a fait naître (5.3), ou jusqu'à sa fermeture. Les passages en caisse d'une E-Carte sont conservés comme les usages d'un titre (5.3) ; le code à usage unique ne sert qu'une fois, et le suivant le remplace. Une transmission à distance — son message compris — et son rendu sont conservés de même (5.3) ; son code à recopier ne sert qu'une fois, le suivant le remplace, et il ne figure dans aucun journal.
5.11 Une demande de déduction qui n'a prévenu personne — une référence qui ne désigne aucune E-Carte du marchand, ou une E-Carte qui ne reçoit pas de demande — est effacée sept jours après la demande. Les chiffres à recopier et le jeton de la page de commande sont effacés au plus tard après ce délai. Une demande reçue par le porteur — son accord ou son refus — est conservée avec les usages de ses titres (5.3).
5.12 Les données gardées sous un numéro ou une empreinte qui permet encore, avec une clé ou un autre fichier, de retrouver la personne restent des données personnelles (pseudonymisées) : les droits de l'article 6 et les règles de l'article 7 s'y appliquent, comme pendant tout archivage, jusqu'à leur effacement.
5.13 Un jeu concours : ses participations ne se gardent pas — elles se lisent sur vos achats (5.3) — ; la liste figée au tirage et son résultat sont conservés avec le jeu et son règlement, pour que chacun puisse vérifier le tirage ; un lot gagné et sa conversation, pour la durée de l'article 5.2. À la suppression d'un compte, le prénom, le nom et les messages de son gagnant sont effacés de son lot ; son identifiant pseudonyme reste dans la liste publiée, qui ne permet pas, sans le sel du jeu — jamais publié —, de retrouver son compte.
5.14 Les notifications du téléphone (l'application E-Carte, et l'application de l'espace marchand) : le jeton d'un appareil est gardé jusqu'à ce que vous coupiez les notifications dans l'application, que vous vous déconnectiez de l'application sur ce téléphone, ou que votre compte soit supprimé — il est alors effacé aussitôt ; il l'est aussi quand votre mot de passe change ou se réinitialise (vos autres sessions se ferment, et avec elles les notifications de leurs téléphones), et quand un appareil de plus s'ajoute au-delà de dix (celui que l'application a redit le moins récemment) ; quand Apple ou Google le disent invalide (l'application désinstallée, le jeton périmé), il ne sert plus et s'efface trente jours plus tard. La trace de ce qui est parti (la clé de chaque notification et sa date, rien de son texte) s'efface après quatre-vingt-dix jours, et avec le compte.
5.15 Une demande d'un marchand (la clôture de son compte, un droit sur ses données) et un signalement sont conservés avec les échanges de l'assistance, pour la durée de l'article 5.2 : la durée de la relation, puis celle de la prescription applicable. Un blocage et son déblocage sont gardés tant que le compte du porteur existe — sa suppression les efface (5.6) ; ce que l'assistance en a reçu reste avec ses échanges, comme un signalement.
5.16 L'app Shopify d'un marchand. Les jetons d'accès de sa boutique sont effacés à la désinstallation de l'app ; le code d'une réservation, dès que la carte est désactivée (récupérée par le porteur, ou désactivée par le marchand) — la référence de la E-Carte qui a servi de code se garde avec la E-Carte et ses autres références ; la réservation, la carte, les titres qui y ont été ajoutés avec le mouvement de crédit de chacun, et ses mouvements se conservent avec les titres qu'elle a réservés (5.3) ; une demande de confidentialité reçue de Shopify, avec les échanges de l'assistance (5.15).
5.17 Le consentement « Communications » vaut jusqu'à ce que vous le retiriez ; sa trace — le texte accepté, la version, les dates de l'acceptation et du retrait — est conservée comme les acceptations (5.2), pour pouvoir démontrer ce que vous avez choisi.
6.1 Accès, rectification, effacement, limitation, opposition (intérêt légitime), portabilité (articles 15 à 22 du RGPD), retrait du consentement pour la position, pour l'appel et pour les communications — « Communications » se retire dans l'application E-Carte (Compte › Préférences de communication), aussi simplement qu'il a été donné, et plus rien ne vous est envoyé à ce titre. Vous pouvez choisir, à tout moment, de ne pas participer aux jeux concours des marchands (l'application E-Carte, Compte › Préférences) : vos achats n'y comptent plus, et vous n'êtes pas tiré au sort. Vous pouvez couper, à tout moment, les notifications du téléphone — dans l'application (le jeton de cet appareil est alors effacé), ou dans les réglages de votre téléphone (plus rien ne s'y affiche ; le jeton, lui, reste enregistré tant que vous ne coupez pas les notifications dans l'application, ne vous déconnectez pas ou ne supprimez pas votre compte, et s'efface comme le dit 5.14 quand l'application est désinstallée). Les pièces comptables (dix ans, art. L123-22 du code de commerce) ne peuvent être effacées ; le dossier de vérification est conservé la durée de la relation puis cinq ans (art. L110-4 du code de commerce), la copie de la pièce d'identité six ans au plus.
6.2 Demande à [email protected], réponse sous un mois. Réclamation possible auprès de la CNIL.
7.1 Chiffrement en transit, habilitations par rôle, journal des accès aux dossiers de vérification ; la clé secrète d'API n'est conservée que sous forme d'empreinte ; un code de titre n'est jamais transmis en entier à un tiers — seul le porteur le reçoit, dans l'application, dans le fichier qu'il télécharge ou à l'adresse de courriel qu'il donne à la suppression de son compte (article 5.6) ; détacher ses titres, ou se les faire envoyer par courriel, exige un code envoyé par e-mail à l'adresse vérifiée du compte, à durée de validité et nombre d'essais limités.
8.1 Cette politique est accessible avant la validation de l’inscription et depuis le compte. Elle informe sur les traitements : elle ne demande pas de consentement général. La trace enregistrée à l’inscription constate sa mise à disposition avec les conditions ; elle ne prouve pas une lecture intégrale. Les consentements nécessaires à des traitements particuliers sont recueillis séparément.
8.2 La trace de première inscription conserve le document, sa version, la date, l’identifiant du compte, l’auteur de l’action et les informations de navigateur. Une version suivante des conditions qui doit être acceptée l’est de la même façon, par la case ; une signature donnée auparavant dans le lecteur garde le texte, son empreinte et les éléments du signataire, selon les conditions de ce document. La durée de conservation applicable est indiquée à l’article 5.2.
8.3 Le porteur retrouve, dans l'application, Compte › Mes documents acceptés, la version qu'il a acceptée, sa date et son heure ; une copie du texte de cette version peut être demandée à l'adresse de l'article 6.2. Une signature donnée auparavant dans le lecteur de l'application garde sa preuve (version, date et heure, empreinte), et sa copie du texte exact signé se télécharge au même endroit. Les marchands retrouvent la version mise à leur disposition dans leur espace, avec la trace de sa présentation.
8.4 Les mises à jour de cette politique. Chaque nouvelle version porte sa date et dit ce qui change. Elle est annoncée au porteur dans l'application E-Carte et au marchand dans l'espace marchand, avec de quoi la lire ; elle ne s'accepte ni ne se signe, et ne bloque rien : la trace conservée à l’inscription identifie la version présentée ; elle ne prouve pas une lecture intégrale.
9.1 Ce que nos pages lisent et écrivent sur l'appareil — les traceurs nécessaires, et ceux de confort, qui ne s'écrivent qu'avec l'accord de la personne —, les services extérieurs qu'elles appellent, la façon de choisir, de changer d'avis et de retirer cet accord, et la durée du choix sont décrits dans la politique de cookies et autres traceurs.